信息安全等级保护商用密码管理办法.docx

信息安全等级保护商用密码管理办法第一条为规范信息安全等级保护中使用商用密码的行为，依据商用密码管理条例和信息安全等级保护管理办法，制定本办法。第二条信息安全等级保护中使用商用密码对不涉及国家秘密内容的信息进行加密保护或者安全认证的行为，适用本办法。第三条国家密码管理局主管全国的信息安全等级保护中使用商用密码的管理工作。省、自治区、直辖市密码管理机构，中央和国家机关有关部委密码管理机构负责本地区、本部门信息安全等级保护中使用商用密码的具体管理工作。第四条各级信息系统使用商用密码应当符合信息安全等级保护商用密码技术要求。第五条信息安全等级保护中使用的商用密码产品，应当是国家密码管理局准予销售的产品。第六条信息系统运营、使用单位应当按照商用密码产品目录选用商用密码产品。第七条信息安全等级保护中第二级及以上的信息系统使用商用密码产品应当备案，填写信息安全等级保护商用密码产品备案表。中央和国家机关有关部委统一定级的信息系统使用商用密码产品，由本部门密码管理机构向国家密码管理局备案。其他信息系统等级保护中使用商用密码产品，由信息系统所属单位向所在地的省、自治区、直辖市密码管理机构备案。省、自治区、直辖市密码管理机构定期将备案汇总情况报国家密码管理局。第八条信息系统运行过程中，商用密码产品使用情况发生变化的，应重新备案。第九条国家密码管理局和省、自治区、直辖市密码管理机构对第三级以上信息系统使用商用密码的情况进行检查。其中，第三级信息系统每两年检查一次，第四级、第五级信息系统每年检查一次；检查工作可以结合商用密码测评工作进行。第十条国家密码管理局和省、自治区、直辖市密码管理机构对未按照要求使用商用密码产品的，及时向备案单位发出整改通知，并对整改情况进行督促检查。第十一条信息安全等级保护商用密码测评工作由国家密码管理局指定的测评机构承担。第十二条信息安全等级保护商用密码测评机构应严格按照信息安全等级保护商用密码技术要求及相关规定进行测评。第十三条信息安全等级保护中违反商用密码管理规定的，由密码管理机构依据商用密码管理条例和信息安全等级保护管理办法及相关规定予以处罚。第十四条本办法由国家密码管理局负责解释。第十五条本办法自2008年1月1日起施行。